什么是ASIL？ASIL D 又是什么?

定义 ASIL

ASIL 表示汽车安全性等级。这是 ISO 26262 标准针对道路车辆的功能安全性定义的风险分类系统。

该标准将功能安全定义为“不存在由电气电子系统故障行为相关的危害引起的不合理风险”。ASIL 根据对汽车部件的危害概率和承受度，确立符合 ISO 26262 标准的安全要求。

ISO 26262 确定了四种 ASIL — A、B、C 和 D。ASIL A 代表最低程度的汽车危害，ASIL D 则代表最高程度的汽车危险。

安全气囊、防抱死制动系统和动力转向系统必须达到 ASIL D 级，这是应用于安全保障的最严苛等级，因为其失效带来的风险最高。而安全等级范围的最低等级，如后灯等部件，仅需达到 ASIL A 级即可。大灯和刹车灯通常是 ASIL B 级，而巡航控制通常是 ASIL C 级。

ASIL 如何划分？

通过执行危害分析和风险评估确立 ASIL 等级。对于车辆中的每个电子部件，工程师测量三个特定变量：

• 严重程度（对驾驶员和乘客造成的伤害类型）
• 接触概率（车辆是否经常接触危害）
• 可控性（驾驶员能够阻止伤害的程度）

每个变量都可以细分为几个子类。严重程度有四个等级，从“无伤害”(S0) 到“危及生命/致命伤”(S3)。接触概率有五个等级，涵盖“非常不可能”(E0) 到“极有可能”(E4)。可控性有四个等级，从“一般可控”(C0) 到“不可控”(C3)。

需分析并组合所有变量和子分类才能确定所需的 ASIL。例如，最高危害 (S3 + E4 + C3) 的组合将导致达到 ASIL D 等级。 

ASIL 面临哪些挑战？

确定 ASIL 等级需涉及许多变量，并要求工程师做出假设。例如，即使一个部件被假设为“不可控”(C3)，并且在发生故障时也可能导致“危及生命/致命伤害”(S3)，仍然可以被划分为 ASIL A 级（低风险），这只是因为其危害接触概率较低 (E1)。

ASIL 定义旨在提供信息而不是作出规定，因而留出了解释空间。留有巨大的空间。ASIL 词汇依赖副词界定（经常、很可能、可能、不太可能）。“经常”能够避免伤害是指 60％ 还是 90% 的接触概率？ 在大溪地接触黑冰的概率和在加拿大一样吗？ 那么不同车流量如何影响呢？ 在高峰时段的洛杉矶和上午在澳大利亚内陆的一段空旷道路上，情况会一样吗？

简而言之，ASIL 的等级划分取决于环境和具体解释。 

ASIL 如何发展而来？

鉴于确定 ASILS 涉及的不确定性， 美国汽车工程师学会 (SAE) 于 2015 年起草了 J2980，“ISO 26262 ASIL 危害分类的考虑因素”。这些指南为评估特定危害的接触概率、严重程度和可控性提供了更明确的指导。J2980 不断发展 - SAE 于 2018 年发布了修订版。

随着自动驾驶汽车的发展，ISO 26262 将需要重新审视目前属于人类驾驶员的“可控性”的定义。正如当前标准中的表述，没有人类驾驶员意味着可控性始终是 C3，这是“不可控”的极限。描述严重程度（伤害）和接触概率（概率）的其他变量，无疑也需要重新检查。

ASIL 的优点是什么？

ISO 26262 是一个面向目标的标准，完全关注“防止伤害”。尽管 ASIL 分类面临质疑的挑战，却旨在“防止损害”，并帮助我们在冗长且经常脱节的供应链中，让无数汽车零部件达到最高安全等级。

主要优势包括：

• 制定安全要求以将风险降低到可接受的水平
• 管理并跟踪安全要求
• 确保最终产品遵循标准化安全程序